58 % der deutschen Unternehmen wurden Opfer eines Cyberangriffs / Angriff für jedes fünfte Unternehmen potenziell existenzbedrohend / Häufigste Ursache für finanzielle Schäden liegt in Zahlungsumleitungsbetrug / Durchschnittliche Gesamtkosten durch Cyberattacken zum zweiten Mal in Folge gesunken / Bei Ransomware-Attacken erhalten nur 37 % nach Lösegeldzahlung ihre Daten vollständig zurück
Hiscox Cyber Readiness Report 2023 - Fokus Schadenpraxis: Deutsche Unternehmen sehen Cyber-Angriffe als größtes Geschäftsrisiko
München, 02. November 2023 – Der vor Kurzem veröffentlichte Hiscox Cyber Readiness Report bietet jedes Jahr einen umfassenden Einblick in die Cyber-Realität deutscher Unternehmen. Neben ihrer Betrachtung der Ergebnisse unter dem Gesichtspunkt von „Digital Trust“ werfen die Hiscox-Expertinnen und -Experten jetzt einen noch detaillierteren Blick auf die Schadenpraxis: Welche Angriffstaktiken dominieren, welche Schäden richten sie an, und rüsten sich die Verantwortlichen in den Unternehmen effektiv gegen die stetig wachsende Risikolage? Denn die Zahl der Cyberangriffe in Deutschland steigt. Der aktuelle Report zeigt einen zweistelligen Anstieg von 46 % im Jahr 2022 auf nun 58 %, womit erstmals über die Hälfte der Befragten betroffen ist. Bei großen Unternehmen mit über 1.000 Beschäftigten gehören sie inzwischen fast zur Tagesordnung, ganze 70 % melden mindestens einen Angriff im Verlauf des Jahres. Doch diese Zahl bedeutet keine Entwarnung für kleine Unternehmen: In der Praxis ist jedes Unternehmen unabhängig von der Größe gefährdet.
Beim Vorgehen der Hacker zeigt sich international ein klarer Trend, den deutsche Firmen ebenfalls registrieren. Wie im Vereinigten Königreich und in den USA war auch hierzulande die Kompromittierung von Geschäfts-E-Mails der häufigste Einstiegspunkt (36 %). Das Ziel dieser Taktik ist klar: Über die Manipulation von Rechnungen oder Zahlungsaufforderungen zweigen Kriminelle unbemerkt teils enorme Summen aus den Unternehmen ab. Diese finanziellen Verluste infolge von sogenanntem Zahlungsumleitungsbetrug sind mit knapp der Hälfte (43 %) aller Angriffe die am häufigsten genannte Auswirkung. Im Vergleich zum Vorjahr hat sich der Anteil um ganze 16 Prozentpunkte erhöht. Einen kleinen Lichtblick sehen die Expertinnen und Experten in der Entwicklung der durchschnittlichen Gesamtkosten, die Cyberattacken jedes Jahr verursachen. Diese sind in Deutschland das zweite Jahr in Folge gesunken, auf aktuell 14.766 Euro im Median. Dennoch gibt ein Fünftel der attackierten Unternehmen an, dass die Auswirkungen des Angriffs potenziell existenzbedrohend waren.
Konstant hohe Bedrohungslage: Wie gehen deutsche Unternehmen damit um?
Cyberangriffe beherrschen das Risikoradar deutscher Unternehmen, sie werden hierzulande erneut als größtes Geschäftsrisiko angesehen. Ganze 43 % der Befragten teilen diese Einschätzung, noch vor aktuell drängenden Entwicklungen wie dem Fachkräftemangel (41 %) oder der gesamtwirtschaftlichen Lage (39 %). Neben dem wachsenden Angriffsrisiko gibt es weitere Gründe für die Risikoeinschätzung: Einem Drittel der Befragten (31 %) bereitet die Zunahme an Remote Work in diesem Zusammenhang Sorgen, und für immerhin 26 % trägt die steigende Nutzung privater Devices von Mitarbeitenden für berufliche Zwecke zur Verschärfung der Lage bei. Diese Besorgnis wirkt sich spürbar auf die Stimmung in der deutschen Wirtschaft aus: Über alle Unternehmensgrößen hinweg sehen sich maximal 6 % der Befragten als Cyber-Experten, etwa ein Drittel sogar als völlige Cyber-Anfänger. Selbst bei großen Konzernen mit über 1.000 Beschäftigten teilen 27 % diese Einschätzung.
Risikobewusstsein und realistische Selbsteinschätzung sind wichtige Schritte – doch wie reagieren die Betroffenen nach einer erfolgreichen Attacke? Aus dem Report geht hervor, dass dem Plus an Angriffen auch ein Plus an Sicherheitsvorkehrungen folgt. So antwortet der größte Teil der Betroffenen (38 %) mit höheren Anforderungen an die Cybersicherheit und Auditprozesse, und 37 % bessern an ihren Notfallstrukturen wie sogenannten „Incident Response Plans“ nach. Auch das Potenzial von maßgeschneiderten Cyber-Versicherungskonzepten wird stärker wahrgenommen, über ein Drittel (35 %) der Entscheiderinnen und Entscheider reagiert mit dem Abschluss oder der Aufstockung entsprechender Policen. Im Vergleich zum Jahr 2021 (16 %) hat sich dieser Wert mehr als verdoppelt.
Eine Entwicklung, die Hoffnung macht, meint Hiscox Deutschlands Head of Cyber, Gisa Kimmerle:
„Die Zahlen zeigen einen aus unserer Sicht zentralen Lerneffekt in den Unternehmen: Ohne kontinuierliche Investitionen im Cyber-Bereich kann man mit der Risikoentwicklung nicht Schritt halten. Dabei ist die Vorsorge für den Ernstfall in Form von Versicherungen genauso entscheidend wie die gesamte Prävention. Denn diese Konzepte decken nicht nur den finanziellen Schaden ab, sondern auch eine ganze Reihe an unverzichtbaren Assistance-Leistungen wie IT-Forensik und Krisen-PR, die die Auswirkungen einer Attacke in der heißen Phase eindämmen können. Damit dieser Bedarf die nötige Aufmerksamkeit und Ressourcen erhält, muss Cyber-Security im C-Level behandelt werden. Und unser Report zeigt, dass die steigende Awareness in diesen Gremien für 43 % der Befragten ein positiver Treiber für ihre Cyber Readiness ist, nur übertroffen von leistungsfähigeren Sicherheitsprozessen mit 45 %.“
Fokus Ransomware: Warum sich Lösegeldzahlungen immer noch nicht lohnen
Während Angriffstaktiken wie Zahlungsumleitungsbetrug die betroffenen Unternehmen vor vollendete Tatsachen stellen, lassen Ransomware-Attacken den Verantwortlichen vermeintlich die Wahl: Die sensiblen Daten enden im Darknet, oder gegen eine bestimmte Summe wieder zurück auf den Servern des Unternehmens. Diese Art von Angriffen hat zuletzt erneut leicht zugenommen, in Deutschland sahen sich nun 22 % der betroffenen Unternehmen mit einer Lösegeldforderung konfrontiert, im Vergleich zu 21 % im Jahr 2022. Dabei war Phishing wieder der Haupteinstiegspunkt für Ransomware in knapp drei Vierteln aller Fälle (74 %), gefolgt vom Diebstahl von Zugangsdaten bei etwa der Hälfte (51 %). Auffällig bei diesen Punkten ist, dass beide Schwachstellen durch eine bessere Schulung der eigenen Mitarbeitenden gehandhabt werden könnte.
Insgesamt zahlten deutsche Unternehmen in etwas mehr Fällen als im vergangenen Jahr das geforderte Lösegeld, von 46 % auf nun 55 %. Sie liegen damit aber immer noch unter dem internationalen Durchschnitt, in dem in 63 % der Fälle die Forderung der Hacker beglichen werden. Der Report belegt aber einmal mehr, warum die Zahlung in der Realität selten ein schneller und unkomplizierter Ausweg ist: Die Wiederherstellung von Daten nach einer Lösegeldzahlung erfolgt bei deutschen Unternehmen nur in 37 % der Fälle. Knapp ein Viertel (24 %) erlitt eine weitere Attacke, und bei über einem Drittel (34 %) wurden die Daten dennoch geleakt.
Über die Studie:
Der siebte internationale Hiscox Cyber Readiness Report, der jährlich von Forrester erstellt wird, liefert ein aktuelles Bild der Cyber-Bereitschaft von Organisationen und bietet eine Blaupause für Best Practices im Kampf gegen eine sich ständig weiterentwickelnde Bedrohung. Er basiert auf einer Umfrage unter insgesamt 5.005 Führungskräften, Abteilungsleitern, IT-Managern und anderen wichtigen Fachleuten. Es handelt sich dabei um eine repräsentative Auswahl von Unternehmen verschiedenster Größen und Branchen aus acht Ländern (Belgien, Frankreich, Deutschland, die Niederlande, Spanien, Großbritannien, Irland und die USA), was diesen Report zu einem der umfassendsten und meistbeachteten seiner Art macht.